OpenVPN-এর জন্য কি Easy-RSA দরকার? নির্ভর করে CA-এর মালিক কে

একটি টিউটোরিয়ালে বলা হয় OpenVPN সেট আপ করার আগে Easy-RSA ইনস্টল করতে, তাই মানুষ ধরে নেয় দুটো একসঙ্গে আসে। তা নয়। Easy-RSA হলো একটি PKI ব্যবস্থাপনা ইউটিলিটি যা OpenSSL চালায়; আর OpenVPN হলো সুড়ঙ্গ। একটি ঠিক করে কাকে বিশ্বাস করা হবে, অন্যটি প্যাকেট সরায়।

গুরুত্বপূর্ণ তুলনাটি হলো কোন টুলটি ভালো, তা নয়। বরং আপনার প্রতিষ্ঠানে ইস্যুয়ারের মালিকানা কার, সেটাই।

Easy-RSA আসলে কী

প্রকল্পটি নিজেকে X.509 PKI ব্যবস্থাপনা ইউটিলিটি হিসেবে বর্ণনা করে, যেখানে ক্রিপ্টোগ্রাফিক কাজ করে OpenSSL। এর মানে এটি কী জেনারেশন, সার্টিফিকেট অনুরোধ, সাইনিং নীতি ও প্রত্যাহারকে পুনরাবৃত্তিযোগ্য ডিরেক্টরি কাঠামোয় মোড়ে। এটি প্রতিষ্ঠিত সুড়ঙ্গে এনক্রিপশনের স্তর যোগ করে না, এবং অন্য কোনো দক্ষ টুলের তৈরি একই চাবির চেয়ে RSA-কে শক্তিশালীও করে না। এটি যা করে তা হলো কাজের প্রবাহকে নিরীক্ষাযোগ্য করা।

এটি সত্যিকারের সুবিধা, তবে ক্রিপ্টোগ্রাফিক নয়, পরিচালনগত সুবিধা।

একটি ল্যাপটপকে এনরোলমেন্টের মধ্য দিয়ে দেখুন

নতুন ল্যাপটপ নিজের চাবি তৈরি করে ও সার্টিফিকেট অনুরোধ জমা দেয়, তাই ব্যক্তিগত চাবি কখনো ডিভাইস ছাড়ে না। এরপর ইস্যুয়ার সেই অনুরোধটি এমন একটি টাইপ দিয়ে সাইন করে যা ক্লায়েন্ট ভূমিকার জন্য সঠিক এক্সটেনশন বেছে নেয়। Easy-RSA-তে সেটি হলো ./easyrsa sign-req client laptop-a।

অপারেটরকে এখনো ঠিক করতে হয় যে এই ব্যক্তি প্রবেশাধিকার পাওয়ার যোগ্য। কোনো সাইনিং টুল সাধারণ নাম থেকে অধিকার অনুমান করে না।

স্বাক্ষরিত সার্টিফিকেট ফিরে যায় মিলে যাওয়া চাবি রাখা ডিভাইসে, এবং VPN স্থাপন আলাদাভাবে সার্ভার বিশ্বাস, পরিচয় যাচাই, নেটওয়ার্ক নীতি ও অ্যাকাউন্টের শর্ত সরবরাহ করে। ইস্যুয়ারের আউটপুট ডিরেক্টরির একটি ফাইল এর কিছুই প্রমাণ করে না। কেবল সম্পন্ন হ্যান্ডশেক তা করে।

একই ল্যাপটপকে বেরিয়ে যেতে দেখুন

অপসারণের জায়গাতেই ইস্যুয়ার নির্বাচন সত্যিই বোঝা যায়। ব্যবহারযোগ্য প্রবাহ সার্টিফিকেট শনাক্ত করে, প্রত্যাহার রেকর্ড করে এবং নির্ভরশীল সিস্টেমগুলোর তা প্রত্যাখ্যান করার যা দরকার তা তৈরি করে। Easy-RSA আলাদা করে ./easyrsa revoke laptop-a থেকে ./easyrsa gen-crl, আর দ্বিতীয় ধাপটি মানুষ ভুলে যায়। ইস্যুয়ারে CRL তৈরি করলে তা কোনো VPN যাচাইকারীর কাছে পৌঁছায় না।

বিতরণ, রিলোডের আচরণ এবং ইতিমধ্যে প্রতিষ্ঠিত সেশনগুলোর কী হয়, এগুলো স্থাপনার সিদ্ধান্ত, টুলের বৈশিষ্ট্য নয়।

এই ফাঁকটাই প্রতিষ্ঠিত প্রবাহের পক্ষে বিক্ষিপ্ত openssl কমান্ডের স্তূপের বিরুদ্ধে ব্যবহারিক যুক্তি। ইস্যুয়ার চালানোর কঠিন অংশ প্রথম সার্টিফিকেট নয়। ডিভাইস আসা-যাওয়ার মধ্যে ইস্যু রেকর্ড, ব্যাকআপ, নবায়ন ও অপসারণ সামঞ্জস্যপূর্ণ রাখাই কঠিন।

যখন ইস্যুয়ার আগে থেকেই আছে

যদি আপনার প্রতিষ্ঠান আগে থেকেই অনুমোদিত সার্টিফিকেট সেবা চালায়, তার মাধ্যমেই এনরোল করুন। একটি টিউটোরিয়ালে Easy-RSA কমান্ড থাকার কারণে দ্বিতীয় CA দাঁড় করালে বিশ্বাস বিতরণের কাজ, ব্যাকআপের কাজ এবং সঠিকভাবে প্রত্যাহার করার মতো আরেকটি বিষয় তৈরি হয়।

স্থানীয় ইস্যুয়ার মানে CA চালানোর অঙ্গীকার, সেটআপ গাইডের একটি চেকবক্স নয়।

কখন Easy-RSA সঠিক সিদ্ধান্ত

সত্যিই নিজের ইস্যুয়ার দরকার এমন ছোট ব্যক্তিগত স্থাপনার জন্য Easy-RSA প্রতিটি কাজ হাতে জোড়া না দিয়েই কেন্দ্রীভূত প্রবাহ দেয়। আপস্ট্রিম Easy-RSA গাইড অনুরোধ, সাইন, প্রত্যাহার ও CRL ধাপগুলো ক্রমানুসারে কভার করে। CA-র সাইনিং উপাদান তার নির্ধারিত মালিকের কাছে রাখুন; ক্লায়েন্টের নিজস্ব শংসাপত্র ও প্রাসঙ্গিক পাবলিক বিশ্বাস দরকার, সাইনিং চাবির অনুলিপি কখনো নয়।

PIN-ভিত্তিক OpenVPN নকশা আরেকটি বৈধ বিশ্বাস ব্যবস্থা, মেরামতের অপেক্ষায় থাকা ভাঙা PKI নয়। আর অ্যাকাউন্ট লগইন আপনার বেছে নেওয়া যে-কোনো প্রোটোকলে সার্ভার প্রমাণ করার প্রয়োজন মেটায় না।

বেছে নেওয়ার আগে চারটি প্রশ্নের উত্তর দিন: নতুন পরিচয় কে অনুমোদন করে, তার ব্যক্তিগত চাবি কোথায় থাকে, সার্টিফিকেট কীভাবে ক্লায়েন্টের কাছে পৌঁছায়, এবং অবসরপ্রাপ্ত পরিচয় কীভাবে আর গ্রহণযোগ্য থাকে না।